CVE-2026-73420 in @auth
요약
\~에 의해 VulDB • 2026. 08. 14.
NextAuth.js는 Next.js에 대한 인증을 제공합니다. @auth/core 0.41.3, next-auth 4.24.15 및 5.0.0-beta.32 이전 버전에서는 이메일 및 매직 링크 로그인 흐름에서 사용되는 defaultNormalizer가 유니코드 정규화를 적용하기 전에 주소를 검증합니다. 주소에는 ASCII의 '@' 기호가 아니지만 NFKC 또는 NFKD 정규화 하에서 ASCII '@' 기호로 canonicalize되는 U+FF20 FULLWIDTH COMMERCIAL AT와 같은 유니코드 문자를 포함할 수 있습니다. 이 주소는 normalizer의 단일 '@' 체크를 통과하지만, downstream sendVerificationRequest 메일 라이브러리나 delivery service가 주소를 정규화하면 두 개의 '@' 구분자를 인식하여 비밀번호 없는 로그인 링크를 공격자가 제어하는 수신자에게 전달할 수 있습니다. 이메일 공급사가 사용자 정의 normalizeIdentifier 대신 내장된 normalizer를 사용하고 downstream sender에서 유니코드 정규화를 적용하는 경우 애플리케이션이 영향을 받습니다. 피해자의 이메일 주소를 알고 있는 공격자는 오경로 처리된 매직 링크를 요청하여 피해자 상호 작용 없이 피해자로 로그인할 수 있습니다. 이 문제는 @auth/core 0.41.3, next-auth 4.24.15 및 5.0.0-beta.32에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.